> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/fr/deploiement-de-scepman/deployment-guides/scenarios/certificate-based-authentication-for-rdp.md).

# Authentification basée sur les certificats pour RDP

Vous pouvez utiliser SCEPman pour émettre des certificats de connexion par carte à puce à vos utilisateurs. En les inscrivant à Windows Hello for Business (*Fournisseur de stockage de clés Microsoft Passport*) ils peuvent utiliser ces certificats pour s'authentifier auprès de ressources sur site à l'aide de leur code PIN Hello ou d'options biométriques.

Cela permettra par exemple aux utilisateurs de se connecter à d'autres clients via le protocole Bureau à distance (RDP) à l'aide de leurs identifiants Windows Hello for Business.

## Configurer Active Directory

### Prérequis

* Le certificat d'AC de SCEPman doit être publié dans le **NTAuth** magasin pour authentifier les utilisateurs auprès d'Active Directory
* Les Domain Controllers doivent disposer d'un certificat de Domain Controller pour authentifier les utilisateurs de carte à puce
* Les Domain Controllers et les machines cibles doivent faire confiance à l'AC racine de SCEPman

Suivez notre guide sur les certificats Domain Controller pour publier le certificat de l'AC racine de SCEPman dans le **NTAuth** magasin et émettre des certificats à vos Domain Controllers :

{% content-ref url="/pages/98b968ae6079b07d7ea88d2a57813d5c405d5cde" %}
[Active Directory](/fr/gestion-des-certificats/active-directory.md)
{% endcontent-ref %}

Vous pouvez créer un **Objet de stratégie de groupe** pour gérer la distribution du certificat racine aux machines concernées : [Pour distribuer des certificats aux ordinateurs clients à l'aide de la stratégie de groupe](https://learn.microsoft.com/en-us/windows-server/identity/ad-fs/deployment/distribute-certificates-to-client-computers-by-using-group-policy#to-distribute-certificates-to-client-computers-by-using-group-policy)

{% content-ref url="/pages/ee6758bf1297b869379aed2078cc7185af6e0c0d" %}
[Stratégie de groupe](/fr/gestion-des-certificats/active-directory/group-policy.md)
{% endcontent-ref %}

Le certificat doit être déployé sur tous les Domain Controllers gérant les authentifications et sur toutes les machines cibles auxquelles les utilisateurs souhaitent se connecter avec cette méthode.

{% hint style="danger" %}
Veuillez noter qu'une fois le certificat racine de SCEPman publié dans le magasin NTAuth, les utilisateurs qui peuvent influencer le contenu des certificats émis par SCEPman (par exemple les administrateurs Intune) peuvent usurper l'identité de n'importe quel principal Active Directory.
{% endhint %}

## Déployez les certificats de carte à puce à l'aide d'Intune

### Profil de certificat approuvé

Vos clients devront [faire confiance au certificat racine de SCEPman](/fr/gestion-des-certificats/microsoft-intune/windows-10.md#root-certificate).

Si vous utilisez déjà SCEPman pour déployer des certificats sur vos clients, ce profil est déjà en place.

### Certificat de carte à puce

Créez un profil pour **Windows 10 et versions ultérieures** de type **certificat SCEP** dans Microsoft Intune et configurez le profil comme décrit ci-dessous :

<details>

<summary>Type de certificat : <code>Utilisateur</code></summary>

</details>

<details>

<summary>Format du nom du sujet : <code>CN={{UserPrincipalName}}</code></summary>

Si le suffixe UPN des utilisateurs ciblés dans Entra ID est différent de celui utilisé dans Active Directory, vous devez utiliser `CN={{OnPrem_Distinguished_Name}}`

</details>

<details>

<summary>Nom alternatif du sujet : valeur UPN : <code>{{UserPrincipalName}}</code> et valeur URI : <code>{{OnPremisesSecurityIdentifier}}</code></summary>

L'URI avec le SID est nécessaire pour avoir une [mappage fort des certificats](/fr/configuration-de-scepman/application-settings/certificates.md#appconfig-addsidextension) dans AD. Sinon, vous pouvez configurer SCEPman pour [ajouter une extension avec le SID](/fr/configuration-de-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-waitforsuccessnotificationresponse) aux certificats utilisateur et ne pas configurer l'URI.

</details>

<details>

<summary>Fournisseur de stockage de clés (KSP) : <code>Inscrire à Windows Hello for Business, sinon échec (Windows 10 et versions ultérieures)</code></summary>

</details>

<details>

<summary>Usage de la clé : <code>Signature numérique</code> et <code>Chiffrement de clé</code></summary>

</details>

<details>

<summary>Taille de clé (bits) : <code>2048</code></summary>

</details>

<details>

<summary>Algorithme de hachage : <code>SHA-2</code></summary>

</details>

<details>

<summary>Certificat racine : <code>Profil de l'étape précédente (Trusted Certificate Profile)</code></summary>

</details>

<details>

<summary>Utilisation étendue de la clé : <code>Authentification du client</code> et <code>Connexion par carte à puce</code>dans</summary>

`Authentification du client, 1.3.6.1.5.5.7.3.2`

`Ouverture de session par carte à puce, 1.3.6.1.4.1.311.20.2.2`

</details>

<details>

<summary>URL des serveurs SCEP : ouvrez le portail SCEPman et copiez l'URL de <a href="#device-certificates">Intune MDM</a></summary>

</details>

### Utilisez Windows Hello for Business pour vous connecter à des hôtes distants

Une fois le certificat déployé sur le client qui s'authentifie, connectez-vous à l'hôte distant et sélectionnez le fournisseur d'identifiants Windows Hello for Business configuré.

<figure><img src="https://129332256-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LoGejQeUQcw7lqnQ3WX%2Fuploads%2Fy9e8WjLUjRD8cd91qlwJ%2Fimage.png?alt=media&amp;token=f975f5d1-2e67-4a89-82c9-decee1665d0a" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.scepman.com/fr/deploiement-de-scepman/deployment-guides/scenarios/certificate-based-authentication-for-rdp.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.